მოდელი საჯაროდ ხელმისაწვდომი არ არის, ყველა ნაპოვნი ხარვეზი უკვე გასწორებულია, ხოლო მისი დამოუკიდებლობის ხარისხი მხოლოდ თავად კომპანიის ანგარიშს ეყრდნობა.
Anthropic-მა 27 ოქტომბერს გამოაქვეყნა კვლევა, რომლის მიხედვითაც, კომპანიის შიდა, ჯერ გამოუქვეყნებელმა AI მოდელმა Claude-მა პროგრამული ხარვეზები იპოვა და ისინი Chrome-ის, Safari-ს, Android-ის, Windows-ისა და Linux-ის წინააღმდეგ ხუთ მუშა შეტევად შეკრა. ამის შესახებ კომპანიის ოფიციალური ანგარიშიდან და The Hacker News-ის 28 ოქტომბრის მიმოხილვიდან ვიგებთ. ანგარიშის გასაჯაროებამდე მკვლევრებმა ყველა სისუსტე შესაბამის მწარმოებლებს გაუგზავნეს, ამიტომ თითოეული მათგანი უკვე დახურულია.
კონკრეტულად რას ნიშნავს შეტევის ჯაჭვი, ანუ exploit chain? პროგრამაში არსებული ერთი ცალკეული შეცდომა იშვიათად არის საკმარისი მოწყობილობაზე სრული კონტროლის მოსაპოვებლად. ჰაკერები, ან ამ შემთხვევაში AI მოდელი, რამდენიმე სხვადასხვა ხარვეზს ერთმანეთს აბამენ, რათა დაცვის ფენები სათითაოდ გაარღვიონ და საბოლოო მიზნამდე მივიდნენ.
როგორ გაარღვია მოდელმა ბრაუზერების დაცვა
Chrome-ის შემთხვევაში Claude-მა ერთ შეტევაში ოთხი სხვადასხვა ხარვეზი გააერთიანა. მათ შორის იყო მეხსიერების დაზიანება V8 ძრავაში, ეგრეთ წოდებული sandbox escape, რომელიც თან ASLR დაცვასაც უვლიდა გვერდს, ასევე სინქრონიზაციის შეცდომა CacheStorage-ში და მეხსიერების განმეორებითი გამოყენების ხარვეზი FedCM-ში. მარტივად რომ ვთქვათ, sandbox არის იზოლირებული გარემო, სადაც ბრაუზერი ვებგვერდს ამუშავებს, რათა საეჭვო კოდმა თქვენს მთავარ სისტემაში ვერ შეაღწიოს. Sandbox escape სწორედ ამ დამცავი კედლიდან თავის დაღწევასა და კომპიუტერზე წვდომის მოპოვებას ნიშნავს.
საცდელმა შეტევამ აჩვენა, რომ სპეციალურ გვერდზე შესვლიდან სულ რამდენიმე წამში ბრაუზერის გავლით კომპიუტერზე კალკულატორის აპლიკაცია იხსნებოდა. სულ Anthropic-მა Chrome-ში 62 კრიტიკული და მაღალი საფრთხის ხარვეზი აღმოაჩინა, რომელთაგან 13 სწორედ იზოლირებული გარემოდან თავის დაღწევას ეხებოდა. Google-მა ყველა მათგანი Chrome 156 ვერსიაში გაასწორა.
Safari-ში მოდელმა იპოვა გზა, რომლითაც ვებგვერდების ერთმანეთისგან გამმიჯნავ წესს უვლიდა გვერდს. Apple-მა ეს სისუსტე iOS და iPadOS 26.5.2 განახლებაში დახურა, ხოლო უსაფრთხოების ოფიციალურ ჩანაწერებში აღმომჩენებად Nasr და Carlini მიუთითა, Claude-თან ერთად.
შეტევები ოპერაციულ სისტემებზე და ღია კითხვები
ოპერაციულ სისტემებში სურათი კიდევ უფრო საყურადღებო აღმოჩნდა. Linux-ში მოდელმა ქსელური მსმენელის გავლით სისტემის სრული, ადმინისტრატორის დონის დისტანციური მართვის გზა სულ რაღაც 48 წუთში იპოვა, ხოლო მუშა შეტევის ბოლომდე მისაყვანად კიდევ 5 წუთი დასჭირდა. ეს კრიტიკული ხარვეზი, ნომრით CVE-2026-98432, 15 ოქტომბერს გასწორდა, თუმცა საჯარო ბაზაში მისი აღწერა სრულად არ ემთხვევა Anthropic-ის ვერსიას. Windows-ში კი მოდელმა სისტემის გათიშვის ხარვეზი CVE-2026-33096 აღმოაჩინა, თუმცა საჯარო ჩანაწერში აღმომჩენის ვინაობა მითითებული არ არის.
„ახლა ეს უკვე ისეთი რამაა, რისი გაკეთებაც მოდელებს ადამიანის მცირე ჩართულობით შეუძლიათ, შემდეგ კი ამას მუშა შეტევის შექმნით ამტკიცებენ, რომლის გაშვება და გადამოწმება ნებისმიერს შეუძლია“, ნათქვამია Anthropic-ის განცხადებაში.
მნიშვნელოვანია, გვახსოვდეს ერთი დეტალი: ინფორმაცია იმის შესახებ, თუ რამდენად დამოუკიდებლად იმუშავა Claude-მა ადამიანის დახმარების გარეშე, მხოლოდ თავად Anthropic-ის მონათხრობს ეფუძნება, ხოლო ეს შიდა მოდელი საჯაროდ ხელმისაწვდომი არ არის. კომპანია ხარვეზების გასაჯაროებისას 90-დღიან ვადას იცავს, რომელსაც საჭიროების შემთხვევაში 45 დღით ახანგრძლივებს, უსაფრთხოების მკვლევრებისთვის კი სპეციალურ Cyber Verification Program-ს ამუშავებს.
| სრული მუშა შეტევების ჯაჭვი | 5 (Chrome, Safari, Android, Windows, Linux) |
| Chrome-ში ნაპოვნი ხარვეზები | 62 CVE (ყველა კრიტიკული ან მაღალი საფრთხის, გასწორდა Chrome 156-ში) |
| Chrome-ის sandbox-იდან თავის დაღწევა | 13 შემთხვევა |
| Safari-ს გასწორებული ვერსია | iOS და iPadOS 26.5.2 |
| Windows-ის ხარვეზის შეფასება | CVE-2026-33096, სიმწვავის ქულა 7,5 |
| Linux-ის ხარვეზის შეფასება და დრო | CVE-2026-98432, ქულა 9,8, პოვნას დასჭირდა 48 წუთი და დასრულებას 5 წუთი |
| ხარვეზების გასაჯაროების ვადა | 90 დღე (შესაძლო 45-დღიანი გახანგრძლივებით) |
წყარო: Anthropic: Discovering vulnerabilities with Claude (27 Oct 2026) | The Hacker News: Anthropic’s unreleased AI model chains flaws into working Chrome, Safari, Windows and Linux exploits (28 Oct 2026)
ეს სტატია შეიქმნა AI ხელსაწყოებით, პროცესში ადამიანის ჩართულობა დაახლოებით 10%-ია.
